은행장 해킹 제재 관건은 '사후수습'…유출 자체 보상엔 난색

[뉴스토마토 이종용 기자] 은행권에서 해킹과 고객 정보 유출 사고로 최고경영자(CEO)에 대한 제재 가능성이 커진 가운데 사후 피해구제 노력이 징계 수위를 가를 변수로 떠오르고 있습니다. 금융당국의 제재 기준에는 사고 수습과 충분한 피해 배상 노력을 참작하도록 명시돼 있는데요. 주요 은행장들의 임기가 연말 만료되는 만큼 제재 부담을 줄이기 위한 사후수습 노력에도 관심이 쏠립니다. 다만 은행들은 수수료 면제와 보험 가입 등 지원을 확대하면서도 개인정보 유출 자체에 대한 일괄적인 현금 배상에는 신중한 모습입니다.

 

임기 만료 앞두고 CEO 책임론 부담

 

21일 금융권에 따르면 금융감독원은 최근 신한은행과 국민은행, 하나은행 등에서 발생한 고객 정보 유출 사고와 관련해 은행의 내부통제 체계와 경영진의 관리 책임을 들여다볼 예정입니다. 이찬진 금감원장은 지난 19일 국회 정무위원회 국정감사에서 "내부통제 기준 관리 의무와 관련해 사이버보안 해킹 사건에서 최초로 CEO의 책임 문제가 다뤄지는 사안이 될 것으로 생각한다"고 밝혔습니다. 해킹 사고와 관련해 은행장의 내부통제 관리 책임을 직접 따져보겠다는 취지입니다.

 

이환주 KB국민은행장과 정상혁 신한은행장, 이호성 하나은행장 등 5대 은행장 입장에선 임기가 오는 12월31일 만료되는 만큼 제재 가능성 자체가 부담입니다. 실제 징계가 연말 인선 이전에 확정되지 않더라도 내부통제 관리 책임이 연임 심사에 영향을 미칠 수 있기 때문입니다.

 

은행들 입장에서는 사고 원인과 관리 책임에 대한 조사 결과뿐만 아니라 사후 피해구제 노력이 제재 수위에 반영될지도 관심사입니다. 금감원의 '금융기관 검사 및 제재에 관한 규정 시행세칙' 제46조에서는 임직원 제재 시 참작할 사항을 규정하고 있습니다. 제1항 제5호는 '검사업무에의 협조정도 등 사후수습 및 손실경감을 위한 노력 여부'를, 제7호는 '금융거래자의 피해에 대한 충분한 배상 등 피해회복 노력 여부'를 명시하고 있습니다. 같은 조 제2항은 제재 기준을 참작해 제재를 가중하거나 감경할 수 있도록 하고 있습니다.

 

은행이 사고 이후 적극적으로 피해를 보상하고 추가 피해 방지에 나선다면 제재 수위를 판단할 때 유리하게 작용할 여지가 있는 셈입니다. 금감원 관계자는 "사후 피해구제 노력이 CEO 개인의 제재에 어느 정도 반영될지는 사고 경위와 내부통제 관리 책임에 대한 조사 결과를 함께 살펴봐야 한다"면서 "아직까지 특정 경영진의 책임 소재를 예측할 단계는 아니며 검사가 끝난 뒤 책임 소재를 가를 것"이라고 말했습니다.

 

은행장들은 국감에서 피해 배상 의지를 밝힌 바 있습니다. 정상혁 신한은행장은 개인정보가 유출된 고객들에 대한 보상 계획을 추궁받자 "2만5000명에 대해서는 (2차 피해 발생 시) 일단 전액 보상을 계획하고 있다"고 답했습니다. 이환주 국민은행장은 "피해가 발생할 경우 전액 보상한다는 것을 이미 고지했다"며 "범위와 수준에 대해 적극 검토하겠다"고 말했습니다. 이호성 하나은행장도 피해가 발생하면 100% 배상 책임을 지겠다는 입장을 밝혔습니다.

 

은행들은 국감 이후 고객 지원책을 확대하고 있습니다. 신한은행은 정보가 유출된 고객 2만5000여명 전원을 은행 비용으로 금융범죄 피해 보상보험에 가입시키기로 했습니다. 보장 한도는 1인당 연간 1000만원입니다. 각종 수수료 면제와 환율 우대 등 VIP 수준의 혜택을 제공하고 전담 창구와 직원도 배치할 계획입니다.

 

하나은행 역시 정보가 유출된 고객 89명 전원의 등급을 VIP로 상향하고 창구 송금수수료와 자동화기기(ATM) 이용수수료, 일회용 비밀번호 생성기(OTP) 발급수수료 등을 면제하기로 했습니다. 신용정보 조회 차단과 금융사고 안심보험 등이 포함된 금융명의보호 서비스 가입도 지원합니다. 이들 은행 모두 금전적인 2차 피해 발생 여부와 관계없이 고객 지원에 나섰지만 개인정보 유출 자체에 대한 현금 배상은 포함하지 않았습니다.

 

(그래픽=뉴스토마토)

 

수십억원 배상 여력 있지만 선례 부담

 

과거 정보 유출 사고에 대한 법원 판결과 분쟁조정 사례를 고려하면 직접적인 현금 배상 규모가 시중은행들이 감당하기 어려운 수준은 아니라는 분석이 나옵니다. 지난해 SK텔레콤 개인정보 유출 사고 당시 개인정보분쟁조정위원회는 피해자 3998명에게 1인당 30만원을 배상하도록 조정했습니다. SK텔레콤은 사고 이후 시행한 선제적 보상과 재발 방지 조치가 충분히 반영되지 않았다며 조정안을 받아들이지 않았습니다.

 

이 사례를 은행 해킹 사태에 적용하면 배상액은 수십억 규모에 달합니다. 정보가 유출된 신한은행 고객 약 2만5700명에게 1인당 30만원 보상액을 적용할 경우 약 77억원입니다. 국내 주요 시중은행의 이익 규모를 고려하면 배상 비용 자체가 감당하기 어려운 금액이라고 보기는 어렵습니다.

 

다만 은행들은 향후 유사 사고의 선례가 될 수 있다는 점에서 현금 배상에 신중한 모습입니다. 정보 유출 자체에 대해 일정 금액을 지급할 경우 다른 사고에서도 동일한 수준의 보상을 요구받을 수 있고, 배상 범위와 기준을 둘러싼 추가 분쟁으로 이어질 가능성이 있기 때문입니다. SK텔레콤 사례에서도 이 같은 문제가 불거진 바 있습니다. 당시 분쟁조정 신청자 3998명에게 지급할 배상금은 약 12억원이었지만, 전체 정보 유출 고객 2300만여명에게 같은 기준을 적용하면 약 7조원에 달할 수 있다는 분석이 나왔습니다.

 

수수료 면제나 보험 가입 등 금융거래 편의성을 높이고 향후 금융사고에 대비하는 간접적인 지원만으로 피해회복 노력을 인정받을 수 있을지는 미지수입니다. 개인정보 유출 자체에 따른 불안감과 정신적 피해에 대해서는 실질적인 구제가 이뤄지지 않았다는 지적이 나올 수 있기 때문입니다. 은행권 한 관계자는 "은행 입장에서는 제재 감경에 참작될 수 있는 선제적 배상 카드라 하더라도 배상 근거와 적정성을 둘러싼 논란이 불거질 수 있다"면서 "당장 수십억 원의 배상금이 문제가 아니라 향후 비슷한 사고에서 보상 기준으로 작용할 수 있다는 점이 은행들로서는 부담스러울 것"이라고 말했습니다.

 

지난 19일 여의도 국회에서 열린 정무위원회의 금융감독원 등에 대한 국정감사에 이환주(왼쪽부터) 국민은행장과 정상혁 신한은행장, 이호성 하나은행장, 정진완 우리은행장, 강태영 농협은행장이 출석해 있다. (사진=뉴시스)

 

이종용 기자 [e-mail]

 

이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김의중 금융부장이 최종 확인·수정했습니다.